Capítulo 3 — Noções básicas de rede na linha | Técnico Segurança de OT, IoT e sistemas ciberfísicos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX009.

flowchart TD
  N0["3.1 Endereços e sub-redes"]
  N1["3.2 Switches e VLANs"]
  N2["3.3 Firewalls"]
  N3["3.4 Switches não gerenciáveis e redes sem fio"]
  N4["3.5 Endereços que você não deve presumir"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX009"]

Desenho lógico

flowchart LR
  N0["3.1 Endereços e sub-redes"]
  N1["3.2 Switches e VLANs"]
  N2["3.3 Firewalls"]
  N3["3.4 Switches não gerenciáveis e redes sem fio"]
  N4["3.5 Endereços que você não deve presumir"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX009"]

[3.1 Endereços e sub-redes]
    |
    v
[3.2 Switches e VLANs]
    |
    v
[3.3 Firewalls]
    |
    v
[3.4 Switches não gerenciáveis e redes sem fio]
    |
    v
[3.5 Endereços que você não deve presumir]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX009]

Objetivos de aprendizagem

Você vai (1) ler um endereço IP e uma máscara de sub-rede; (2) explicar o que switches, VLANs e firewalls fazem numa rede de planta; e (3) esboçar a rede da HPFL a partir de uma descrição.

3.1 Endereços e sub-redes

Todo dispositivo em rede tem um endereço IP, como 10.20.1.11. Uma máscara /24 significa que os três primeiros números nomeiam a rede e o último nomeia o dispositivo, então 10.20.1.11 e 10.20.1.12 são vizinhos em 10.20.1.0/24. Os dispositivos da mesma sub-rede conseguem conversar diretamente; o tráfego para outra sub-rede passa por um roteador ou firewall.

Na HPFL, os dispositivos da linha compartilham 10.20.1.0/24, então PLC-FILL, PLC-WRAP, HMI-1 e VIS-CAM conseguem alcançar uns aos outros diretamente. Os escritórios ficam em 10.10.0.0/16, e o tráfego entre as duas redes precisa passar pelo FW-1. Saber disso diz a Tomás que é uma regra de firewall que decide se um PC de escritório consegue chegar a um CLP.

3.2 Switches e VLANs

Um switch conecta dispositivos com cabos. Uma VLAN divide um switch físico em redes lógicas separadas, de modo que os dispositivos da linha e os PCs de escritório possam compartilhar o hardware sem compartilhar o tráfego. Um erro numa configuração de VLAN pode conectar silenciosamente duas redes que deveriam ficar separadas, e é por isso que as mudanças em switches exigem o mesmo cuidado que as mudanças em CLPs.

Na HPFL, a linha está na VLAN 20 e os escritórios na VLAN 10. Se uma porta de um switch compartilhado fosse configurada com a VLAN errada, um PC de escritório conectado a ela cairia na rede da linha sem passar pelo FW-1. Relate qualquer dúvida sobre a VLAN de uma porta ao dono da rede, em vez de testá-la.

3.3 Firewalls

Um firewall encaminha ou bloqueia o tráfego entre redes de acordo com regras: origem, destino, porta e ação. Numa planta, o firewall importante fica entre a rede de escritório e a linha. Boas regras nomeiam hosts e portas específicos; regras "qualquer para qualquer" anulam o propósito.

Na HPFL, o FW-1 deve permitir que o ENG-LT alcance os CLPs e pouco mais. Cada regra deve ter um comentário dizendo por que existe e quem é o dono. O Capítulo 12 mostra como ler a tabela do FW-1 e o que fazer com uma regra sem dono.

3.4 Switches não gerenciáveis e redes sem fio

Pequenos switches não gerenciáveis dentro de armários e pontes sem fio são comuns e muitas vezes não aparecem nos desenhos. Eles importam porque criam conexões que ninguém revisa.

Procure-os durante as vistorias: um pequeno switch dentro de um armário com mais cabos do que o esperado, ou uma ponte sem fio num mastro. Fotografe o que encontrar e relate com a localização. Um dispositivo que liga a rede da linha a outra rede sem passar pelo FW-1 torna as regras do firewall irrelevantes para esse caminho. Pergunte ao dono da rede se cada um é conhecido e aprovado.

3.5 Endereços que você não deve presumir

Os dispositivos podem ter uma segunda placa de rede, uma porta serial ou um modem celular que não aparecem no desenho. Pergunte ao dono por todas as interfaces, não só pelo endereço principal.

Registre cada uma no registro de ativos. Um modem celular acrescentado por um fabricante de máquinas para suporte remoto é um exemplo comum, e ele pode contornar totalmente o FW-1. Se o dono não souber se um dispositivo tem outras interfaces, consulte o manual ou pergunte ao fornecedor antes de presumir que não tem.

Exemplo resolvido (HPFL sintética)

O engenheiro de controle diz a Tomás: os dispositivos da linha usam 10.20.1.0/24 na VLAN 20, os escritórios usam 10.10.0.0/16 na VLAN 10, um firewall FW-1 os une e apenas o ENG-LT pode alcançar os CLPs. Tomás desenha duas caixas, coloca PLC-FILL (10.20.1.11), PLC-WRAP (10.20.1.12), HMI-1 (10.20.1.21) e VIS-CAM (10.20.1.31) na caixa da linha e escreve no FW-1 a única regra permitida.

Caso sintético — HPFL. Os endereços e os números de VLAN são inventados.

Erros e limites

Um desenho descreve a intenção; o cabeamento real pode ser diferente. Confirme contra a configuração dos switches com o dono da rede, nunca sondando os dispositivos.

Exercícios

EX009 — Mesma sub-rede? 10.20.1.31 e 10.20.2.31 estão na mesma rede /24? Explique.
Mostrar critérios de avaliação
Rubrica: 3 = não, o terceiro octeto difere, então são /24 diferentes; 2 = não, sem razão; 1 = sim; 0 = nenhum.
EX010 — Erro de VLAN. O que poderia acontecer se a porta de uma impressora de escritório fosse configurada por engano na VLAN 20?
Mostrar critérios de avaliação
Rubrica: 3 = a impressora entra na rede da linha, contornando o FW-1, criando um caminho não revisado; 2 = só "rede errada"; 1 = a impressora para; 0 = nenhum.
EX011 — Qualidade da regra. Reescreva "any → 10.20.1.0/24 any allow" como uma regra que corresponda à intenção da HPFL.
Mostrar critérios de avaliação
Rubrica: 3 = origem só o endereço do ENG-LT, destino os CLPs, a porta necessária, allow, mais negação padrão; 2 = específica por host, sem negação; 1 = ainda ampla; 0 = nenhum.
EX012 — O switch escondido. Por que um switch não gerenciável encontrado no armário da embaladora importa para a segurança?
Mostrar critérios de avaliação
Rubrica: 3 = ponto de conexão não revisado, sem registros/controle de VLAN, pode estender a rede; 2 = um ponto; 1 = "é velho"; 0 = nenhum.

Síntese

Endereços, VLANs e regras de firewall decidem quem consegue conversar com um controlador; erros neles abrem caminhos em silêncio.